crackthe.net
Geleakte Passwörter prüfen: So bleibt der Check mit k-Anonymität privat
Wie ein Passwortmanager deine Passwörter mit geleakten abgleicht, ohne sie zu verschicken, was die Bereichssuche von Have I Been Pwned tut und was du bei einem Treffer tust.
Das Wichtigste
- Listen geleakter Passwörter sind öffentlich. Ein Passwort auf einer solchen Liste wird bei Angriffen zuerst probiert, egal wie lang es ist.
- Mit dem Dienst Have I Been Pwned prüfen Apps ein Passwort, ohne es zu verschicken: Nur die ersten 5 Zeichen seines Hashwerts verlassen dein Gerät.
- Passwortmanager nutzen solche Prüfungen, um dich zu warnen. Ändere jedes Passwort, das sie markieren, zuerst das für dein E-Mail-Postfach.
Warum geleakte Passwörter zählen
Wird eine Website gehackt, landen ihre Passwörter oft in öffentlichen Listen. Angreifer probieren diese Listen zuerst aus, auf jeder Website. Ein Passwort, das dort steht, ist unsicher, auch wenn es lang und zufällig ist, denn es ist nicht mehr geheim.
Die US-Standardbehörde NIST verlangt deshalb von Websites, neue Passwörter mit solchen Listen abzugleichen und die abzulehnen, die darauf stehen.
So funktioniert die Prüfung, ohne dein Passwort zu verraten
Have I Been Pwned, ein Dienst des Sicherheitsforschers Troy Hunt, sammelt Passwörter aus Datenlecks. Seine Suche Pwned Passwords läuft so ab:
- Deine App macht aus dem Passwort einen Hashwert mit dem Verfahren SHA-1, auf deinem Gerät. Der Hashwert von „password“ beginnt zum Beispiel mit 5BAA6.
- Die App schickt nur die ersten 5 Zeichen des Hashwerts an den Dienst.
- Der Dienst antwortet mit den übrigen Zeichen aller geleakten Hashwerte, die genauso beginnen.
- Deine App vergleicht diese Liste mit dem Rest ihres eigenen Hashwerts, wieder auf deinem Gerät.
Viele geleakte Hashwerte teilen sich dieselben ersten 5 Zeichen. Der Dienst kann deshalb nicht erkennen, welches Passwort du geprüft hast. Das nennt man k-Anonymität. Die Suche braucht keinen API-Schlüssel, und Have I Been Pwned gibt mehr als 18 Milliarden Anfragen im Monat an.
Was die Manager auf dieser Seite prüfen
| Was der Hersteller angibt | |
|---|---|
| 1Password | Watchtower warnt vor Datenlecks, gefährdeten Passwörtern, mehrfach genutzten und schwachen Passwörtern und vor Websites, die eine Zwei-Faktor-Anmeldung anbieten |
| Bitwarden | der Bericht zu offengelegten Passwörtern schickt die ersten fünf Zeichen des Hashwerts jedes Passworts an einen Dienst mit bekannten geleakten Passwörtern; die meisten Berichte brauchen Premium, der Bericht zu Datenlecks ist gratis und nutzt Have I Been Pwned |
| Proton Pass | Warnungen bei schwachen und mehrfach genutzten Passwörtern in jedem Tarif; Überwachung des Darknets mit bezahlten Tarifen |
| Keeper | nicht geprüft |
Was du bei einem Treffer tust
- Ändere das markierte Passwort auf der betroffenen Website und lass den Manager das neue erzeugen.
- Fang mit deinem E-Mail-Konto an, weil sich darüber alle anderen zurücksetzen lassen, dann Bank und Shopping.
- Ändere es überall, wo du es mehrfach genutzt hast. Ein geleaktes Passwort öffnet jedes Konto, das es nutzt.
- Schalte die Zwei-Faktor-Anmeldung ein für die Konten, die sie anbieten. Sie verhindert Anmeldungen mit einem bekannten Passwort.
- Prüf nach ein paar Wochen erneut. Neue Datenlecks tauchen ständig auf.
Nächster Schritt
Die Seite Passwortmanager im Vergleich zeigt die vier Manager mit Gratis-Tarif, Geräten und CVE-Einträgen.
Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.
Mit den Daten des Archivs prüfen
Weiterlesen: Sicherheits-Header, HTTPS und DMARC prüfenAlle Ratgeber